Sa aking blog tungkol sa kamakailang natuklasang bug na nagresulta sa pag-imbak ng ilang password ng ilang user ng G Suite nang hindi naka-encrypt sa loob ng mga plain text file. Ang bug na ito ay umiral mula noong 2005. Gayunpaman, inaangkin ng Google na hindi ito makakahanap ng anumang katibayan na ang alinman sa mga password na ito ay nahulog sa mga kamay ng mga umaatake o nagamit sa maling paraan. Gayunpaman, ire-reset ng kumpanya ang anumang mga password na maaaring maapektuhan at aabisuhan ang mga administrator ng G Suite tungkol sa isyu.
Ang G Suite ay ang enterprise na bersyon ng Gmail at iba pang Google app, at ang bug ay tila nangyari sa produktong ito dahil sa isang feature na partikular na idinisenyo para sa mga negosyo. Sa simula ng serbisyo, maaaring gamitin ng administrator ng kumpanya ang mga application ng G Suite para manual na magtakda ng mga password ng user: sabihin nating, bago sumali sa system ang isang bagong empleyado. Kung ginamit niya ang opsyong ito, ise-save ng admin console ang mga password bilang plain text sa halip na i-hash ang mga ito. Kalaunan ay inalis ng Google ang kakayahang ito mula sa mga administrator, ngunit nanatili ang mga password sa mga text file.
Sa post nito, nagsisikap ang Google na ipaliwanag kung paano gumagana ang cryptographic hashing para malinaw ang mga nuances na nauugnay sa error. Bagama't ang mga password ay naka-imbak sa malinaw na teksto, ang mga ito ay nasa mga server ng Google, kaya ang mga third party ay makakakuha lamang ng access sa mga ito sa pamamagitan ng pag-hack sa mga server (maliban kung sila ay mga empleyado ng Google).
Hindi sinabi ng Google kung gaano karaming user ang posibleng maapektuhan, maliban sa pagsasabing ito ay isang "subset ng mga customer ng G Suite enterprise"βmalamang na sinumang gumamit ng G Suite noong 2005. Bagama't walang mahanap ang Google na katibayan na ginamit ng sinuman ang access na ito nang may masamang hangarin, hindi lubos na malinaw kung sino ang maaaring may access sa mga text file na ito.
Sa anumang kaso, naayos na ang isyu, at nagpahayag ang Google ng panghihinayang sa post nito tungkol sa isyu: βLubos naming sineseryoso ang seguridad ng aming mga customer sa enterprise at ipinagmamalaki naming i-promote ang mga kasanayan sa seguridad ng account na nangunguna sa industriya. Sa kasong ito, hindi namin naabot ang aming mga pamantayan o mga pamantayan ng aming mga kliyente. Humihingi kami ng paumanhin sa mga user at nangangako kaming gagawa ng mas mahusay sa hinaharap.β
Pinagmulan: 3dnews.ru